Zaman damgası nedir, sözleşmede ne işe yarar?

Dijital bir belgede “bu dosya ne zaman oluşturuldu?” sorusunun cevabı çoğu zaman dosyanın kendi bilgilerinde yazar. Ancak bu bilgiler bilgisayarın saatine bağlıdır ve kolayca değiştirilebilir. Zaman damgası, belgenin belirli bir anda belirli bir içerikle var olduğunu, güvenilir bir üçüncü tarafın imzasıyla kayıt altına alır.

Bu rehberde zaman damgasının ne olduğunu, nasıl çalıştığını, Türkiye'de kimler tarafından sağlandığını ve onaylanan sözleşmelerde ne işe yaradığını anlatıyoruz.

Zaman damgası nedir?

Zaman damgası, bir elektronik verinin belirli bir zamanda var olduğunu gösteren, yetkili bir hizmet sağlayıcı tarafından imzalanmış elektronik kayıttır. Hizmet sağlayıcı, belgenin dijital özetini güvenilir bir zaman kaynağından aldığı tarih ve saatle birleştirir ve bu bilgiyi kendi elektronik sertifikasıyla imzalar.

Ortaya çıkan damga, belgeyle birlikte saklanır. Daha sonra herhangi bir anda iki şey kontrol edilebilir:

• Belge, damganın alındığı anda o içerikle mevcuttu.
• Belgenin o andan sonra değişip değişmediği tespit edilebilir.

Zaman damgası nasıl çalışır?

Süreç üç adımdan oluşur; hizmet sağlayıcıya yalnızca belgenin özeti gider, içerik sizde kalır.

1. Belgenin dijital özeti hesaplanır

Belgeden, özet fonksiyonu (hash) denen matematiksel bir yöntemle sabit uzunlukta bir değer üretilir. Bu değer belgenin dijital parmak izi gibidir: aynı belge her zaman aynı özeti verir, belgede tek bir karakter bile değişse özet tamamen farklı çıkar. Özet tek yönlü çalışır: belgeden özet üretilir, içerik ise belgenin kendisinde kalır.

2. Özet, zaman damgası hizmetine gönderilir

Hesaplanan özet, zaman damgası hizmet sağlayıcısına iletilir. Sağlayıcı özeti, kendi güvenilir zaman kaynağından aldığı tarih ve saatle birleştirir ve sonucu elektronik olarak imzalar.

3. İmzalı damga belgeyle birlikte saklanır

Dönen damga dosyası belgeyle birlikte arşivlenir. Doğrulama gerektiğinde belgenin özeti yeniden hesaplanır ve damgadaki özetle karşılaştırılır; damganın imzası da hizmet sağlayıcının sertifikasıyla kontrol edilir.

Türkiye'de zaman damgasını kimler sağlar?

Türkiye'de zaman damgası, 5070 sayılı Elektronik İmza Kanunu kapsamında yetkilendirilmiş elektronik sertifika hizmet sağlayıcıları tarafından verilir. TÜBİTAK BİLGEM bünyesindeki Kamu Sertifikasyon Merkezi (Kamu SM), bu hizmeti sunan kuruluşlardan biridir. Zaman damgası hizmetini kullanmak için seçtiğiniz sağlayıcıdan bir zaman damgası hesabı edinirsiniz; yazılımınız bu hesapla damga ister.

Kamu SM, zaman damgalı dosyaları kendi aracıyla kontrol etmeye imkân tanıyan bir istemci yazılımı da sunar. Böylece damga, onu oluşturan yazılımdan bağımsız olarak da doğrulanabilir.

Zaman damgası neyi gösterir?

Zaman damgasının gösterdiği şey açık ve sınırlıdır; bu da onu net bir kayıt aracı yapar.

• Zaman: Belgenin, damgadaki tarih ve saatte mevcut olduğunu gösterir.
• Bütünlük: Belgenin o andan sonra değiştirilip değiştirilmediği, özetlerin karşılaştırılmasıyla tespit edilebilir.
• Bağımsızlık: Zaman bilgisi yetkili bir hizmet sağlayıcının imzasından gelir; sunucunuzun saatinden bağımsızdır.

Belgeyi kimin onayladığını ise onay sürecinin kendi kayıtları gösterir; zaman damgası bu kayıtları tamamlar. Bu yüzden sözleşme onayında zaman damgası, onay zamanı, IP adresi ve telefona gönderilen doğrulama kodu gibi kayıtlarla birlikte kullanılır. Bu kayıtların ayrıntısı için dijital sözleşme onayında tutulan kayıtlar rehberine bakabilirsiniz.

Zaman damgası ve elektronik imza

Bu iki kavram sıkça birlikte anılır, ancak farklı sorulara cevap verir. Elektronik imza, belgeyi kimin imzaladığını gösterir ve imzalayan kişinin sertifikasına dayanır. Zaman damgası ise belgenin ne zaman ve hangi içerikle var olduğunu gösterir ve hizmet sağlayıcının sertifikasına dayanır.

İkisi birlikte de kullanılabilir: elektronik imzalı bir belgeye zaman damgası eklendiğinde imzanın hangi anda atıldığı da kayda geçer. SMS ile onay gibi süreçlerde ise kişiyle bağı onay kayıtları kurar, zaman damgası da onaylanan belgenin içeriğini ve zamanını sabitler.

Sözleşmede zaman damgası ne işe yarar?

Bir sözleşme onaylandıktan sonra taraflardan biri metnin içeriği ya da onayın zamanı hakkında soru sorabilir. Zaman damgası bu noktada onaylanan metnin hangi anda, hangi içerikle sabitlendiğini gösterir. Tipik kullanım alanları şunlardır:

• Onaylanan sözleşme PDF'inin, onay anındaki haliyle arşivlenmesi,
• Yıllar sonra bile belgenin aslının kontrol edilebilmesi,
• Belgenin bir kopyasını alan üçüncü kişinin, elindeki dosyanın asılla aynı olup olmadığını görebilmesi.

Zaman damgalı kayıtlar gerektiğinde diğer belgelerle birlikte değerlendirilebilir. Kanunen belirli bir şekle bağlı işlemlerde (noter onayı, güvenli elektronik imza gibi) ilgili usullerin ayrıca izlenmesi gerekir.

Sözleşme360 zaman damgasını nasıl uygular?

Sözleşme360'ta karşı taraf sözleşmeyi telefonuna gelen kodla onayladığında sistem, onay bilgilerini içeren PDF'i oluşturur ve bu PDF için TÜBİTAK BİLGEM Kamu SM'den zaman damgası alır. Damga, kendi zaman damgası hesabınızla istenir ve belgeyle birlikte sizin sunucunuzda saklanır.

Doğrulama iki yoldan yapılabilir:

1. QR kod ve doğrulama sayfası: PDF üzerindeki QR kod, belgenin doğrulama sayfasını açar. Elinizdeki PDF yüklendiğinde sistem dosyanın özetini hesaplar ve kayıtlı özetle karşılaştırır.
2. Bağımsız kontrol: Doğrulama sonrasında PDF ve .zd uzantılı zaman damgası dosyası indirilebilir; bu dosyalar Kamu SM araçlarıyla ayrıca kontrol edilebilir.

Böylece hem sizin hem karşı tarafın elindeki belge, onaylandığı andaki haliyle karşılaştırılabilir.